SSO(シングルサインオン)とは

SSO(シングルサインオン)とは、一度ログインすれば、使ってよい複数のサービスにログインし直さずに入れる仕組みです。

SSO とは何か

Microsoft の公式ドキュメントは、SSO を、ユーザーが一度サインインすれば多くのアプリに入れる仕組みと説明しています。本人確認を引き受けるのは ID 管理サービス(Okta や Microsoft Entra ID など、社員の ID を一か所で管理する仕組み)です。ID 管理サービスが本人を確かめ、その結果をアプリに伝えるため、アプリは自分でユーザー名とパスワードを管理しなくてよくなります。ID 管理サービスの働きはIdP(ID 管理サービス)とはにまとめています。

なぜ対応するサービスにだけ使えるのか

SSO では、アプリがパスワードを確かめる代わりに、ID 管理サービスからの「この人は本人です」という知らせを受け取ってログインさせます。Microsoft のドキュメントは、この流れを 4 つの段階で説明しています。利用者がアプリを開く、アプリが利用者を ID 管理サービスへ送る、ID 管理サービスが本人を確かめる、アプリが確認の結果を受け取ってアクセスを許す、という順です。この知らせをやり取りする決まりが、SAML(ID 管理サービスとつなぐための規格)や OpenID Connect(同じ目的の新しい規格)です。アプリ側がこの決まりに沿って作られていなければ、知らせを受け取れません。

対応していないサービスはどうなるか

対応していないサービスに対して、ID 管理サービスは別の機能を用意しています。Microsoft の password-based SSO は、ユーザー名とパスワードでサインインするアプリ向けに、Entra ID が ID とパスワードを保管してアプリに送る方式です。ブラウザーで開くログイン画面があるクラウドのアプリで使え、管理者が利用者やグループのために ID とパスワードを設定できます。Okta の SWA(Secure Web Authentication)は、SAML などに対応しない外部の Web アプリに SSO の働きを与える技術です。Okta が利用者ごとに外部アプリにサインインする、と説明されています。どちらも、サービス側のパスワードの確認はそのまま残ります。

共有アカウントは SSO で扱えるか

SAML などによる SSO は、ID 管理サービスにある一人ひとりの ID が前提です。複数人で一つのアカウントを使う共有アカウントは、この形に収まりません。Okta の公式ヘルプは、SWA の設定の一つに、管理者が設定した一組のユーザー名とパスワードを利用者が共有する形を挙げています。共有アカウントを ID 管理サービスで扱うときは、SSO ではなく、この代わりに入力する方式になります。共有アカウントの管理方法の全体は共有アカウントの管理にまとめています。